SAML 仕様では、次の 3 つのエンティティが定義されています。
- プリンシパル(Edge UI ユーザー)
- サービス プロバイダ(Apigee SSO)
- ID プロバイダ(SAML アサーションを返します)
SAML が有効な場合、プリンシパル(Edge UI ユーザー)がサービス プロバイダ(Apigee SSO)にアクセスをリクエストします。Apigee SSO はそれを受けて(SAML サービス プロバイダとしてのロールで)SAML IDP に ID アサーションをリクエストし、これを取得します。さらに、そのアサーションを使用して、Edge UI へのアクセスに必要な OAuth2 トークンを作成します。その後、ユーザーは Edge UI にリダイレクトされます。
このプロセスを次の図に示します。
処理の説明:
- Edge UI にアクセスするため、ユーザーが Edge UI のログイン URL にリクエストを送信します。例:
https://edge_ui_IP_DNS:9000
。 - 未認証のリクエストが SAML IDP にリダイレクトされます。例: https://idp.customer.com。
- ユーザーがまだ ID プロバイダにログインしていない場合は、ログインするよう求められます。
- ユーザーがログインします。
- SAML IDP によってユーザーが認証されます。SAML IDP は SAML 2.0 アサーションを生成し、Apigee SSO に返します。
- Apigee SSO がアサーションを検証し、アサーションからユーザー ID を抽出して Edge UI 用の OAuth2 認証トークンを生成します。その後、次の場所にあるメイン Edge UI ページにユーザーをリダイレクトします。
https://edge_ui_IP_DNS:9000/platform/orgName
orgName は Edge 組織の名前です。
Edge は、Okta や Microsoft Active Directory フェデレーション サービス(ADFS)などの多くの IDP をサポートしています。ADFS を Edge で使用できるように構成する方法については、ADFS IDP での証明書利用者としての Edge の構成をご覧ください。Okta については、次のセクションをご覧ください。
SAML IDP を構成するには、ユーザーを識別するメールアドレスが必要です。したがって、ID プロバイダは、ID アサーションの一部としてメールアドレスを返す必要があります。
さらに、次の設定の一部またはすべてが必要な場合もあります。
設定 | 説明 |
---|---|
メタデータ URL |
SAML IDP には Apigee SSO のメタデータ URL が必要な場合があります。メタデータ URL の形式は次のとおりです。 protocol://apigee_sso_IP_DNS:port/saml/metadata 例: http://apigee_sso_IP_or_DNS:9099/saml/metadata |
アサーション コンシューマ サービス URL |
ユーザーが IDP 認証情報を入力した後で、Edge へのリダイレクト URL として次の形式で使用できます。 protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk 例: http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk |
シングル ログアウト URL |
Apigee SSO でシングル ログアウトをサポートすることができます。詳細については、Edge UI からのシングル ログアウトを構成するをご覧ください。Apigee SSO のシングル ログアウト URL の形式は次のとおりです。 protocol://apigee_SSO_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk 例: http://1.2.3.4:9099/saml/SingleLogout/alias/apigee-saml-login-opdk |
SP エンティティ ID(またはオーディエンス URI) |
Apigee SSO の場合は次のようになります。 apigee-saml-login-opdk |
Okta の構成
Okta を構成するには:
- Okta にログインします。
- [Applications] を選択し、SAML アプリケーションを選択します。
- [Assignments] タブを選択し、アプリケーションにユーザーを追加します。これらのユーザーは、Edge UI にログインして Edge API 呼び出しを行うことができます。ただし、最初に各ユーザーを Edge 組織に追加し、ユーザーのロールを指定する必要があります。詳細については、新しい Edge ユーザーを登録するをご覧ください。
- [Sign on] タブを選択し、ID プロバイダのメタデータ URL を取得します。この URL は Edge を構成するときに必要となるため、メモしておきます。
- [General] タブを選択し、Okta アプリケーションを次の表に示すように構成します。
設定 説明 Single sign on URL ユーザーが Okta 認証情報を入力した後に使用される、Edge へのリダイレクト URL を指定します。この URL の形式は次のとおりです。 http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk
apigee-sso
で TLS を有効にする場合:https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk
apigee_sso_IP_DNS は、
apigee-sso
をホストしているノードの IP アドレスまたは DNS 名です。この URL では大文字と小文字が区別され、SSO は大文字でなければなりません。
apigee-sso
の前にロードバランサがある場合は、ロードバランサを通じて参照されるapigee-sso
の IP アドレスまたは DNS 名を指定します。Use this for Recipient URL and Destination URL このチェックボックスをオンにします。 Audience URI (SP Entity ID) apigee-saml-login-opdk
に設定します。Default RelayState 空白のままにできます。 Name ID format EmailAddress
を指定します。Application username Okta username
を指定します。Attribute Statements (Optional) 次の図に示すように、 FirstName
、LastName
、Email
を指定します。
これらを設定すると、[SAML Settings] ダイアログ ボックスは次のようになります。